W211 2261903-1 – BVwG Entscheidung

W211 2261903-1/10E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht erkennt durch die Richterin Mag.a Barbara SIMMA, LL.M als Vorsitzende und die fachkundige Laienrichterin Margareta MAYER-HAINZ und den fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG als Beisitzerin und Beisitzer über die Beschwerde des XXXX , gegen den Bescheid der Datenschutzbehörde vom XXXX , in nichtöffentlicher Sitzung zu Recht:

A)

Die Beschwerde wird als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit Beschwerde vom XXXX 2021, verbessert am XXXX 2021, machte die nunmehr mitbeteiligte Partei (idF mP) eine Verletzung in ihrem Recht auf Geheimhaltung wegen eines Schreibens des XXXX (Beschwerdeführer, idF BF), das personalisiert über die Möglichkeit der dritten Corona-Schutzimpfung informierte, bei der Datenschutzbehörde (idF DSB) geltend.

2. Mit Hinweis auf eine Vielzahl an gleichlautenden Beschwerden übermittelte die DSB der mP eine Stellungnahme des BF vom XXXX 2022, die zu einem anderen Verfahren ergangen war. Der BF brachte darin zusammengefasst und soweit wesentlich vor, dass er als alleiniger datenschutzrechtlicher Verantwortlicher in Entsprechung der aktuellen Covid-19-Anwendungsempfehlung des Nationalen Impfgremiums zur Erreichung der Grundimmunisierung an alle Personen, die bereits die erste Impfserie abgeschlossen gehabt hätten, ein personalisiertes Erinnerungsschreiben für die dritte Dosis auf dem Postweg versandt habe.

3. Mit Replik vom XXXX 2022 verwies die mP unter anderem auf das Fehlen einer Rechtsgrundlage für die Impferinnerungsschreiben.

4. Mit Bescheid vom XXXX wurde der Beschwerde der mP stattgegeben und festgestellt, dass der BF die mP dadurch in ihrem Recht auf Geheimhaltung verletzt habe, dass der BF unrechtmäßig auf die Daten der mP im zentralen Impfregister und im zentralen Patientenindex zugegriffen und diese Daten zum Zweck des Versands eines Schreibens mit Informationen über den Abschluss der Grundimmunisierung gegen SARS-CoV-2 verarbeitet habe.

Begründend führte die DSB soweit wesentlich und zusammengefasst aus, dass der BF als Rechtsgrundlage für die in Frage stehenden Datenverarbeitungen die Bestimmungen des § 24d Abs. 2 Z 5 GTelG 2012 iVm § 4 Abs. 3 GTelG genannt habe. Hinsichtlich der Datenverarbeitung betreffend die Versendung des Erinnerungsschreibens könne den §§ 24d Abs. 2 Z 5 iVm § 24f Abs. 4 Z 5 GTelG 2012 jedoch lediglich ein allgemeiner Erlaubnistatbestand zum Zweck des Krisenmanagements im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten gemäß § 1 Epidemiegesetz 1950, BGBl. Nr. 186/1950, entnommen werden. Es sei nicht ableitbar, dass der BF deshalb berechtigt wäre, zum Zweck des Versands eines personalisierten Schreibens mit Informationen über den Abschluss der Grundimmunisierung gegen SARS-CoV-2 auf die Daten des zentralen Impfregisters zuzugreifen. Darüber hinaus sei der BF auch nicht berechtigt gewesen, die Daten der mP aus dem zentralen Impfregister mit den Daten im Zentralen Patientenindex zur Ermittlung der aktuellen Wohnadresse abzugleichen. § 4 Abs. 3 GTelG 2012 bilde dafür keine taugliche Rechtsgrundlage.

5. Gegen diesen Bescheid wurde rechtzeitig durch den BF eine Beschwerde eingebracht.

6. Mit Stellungnahme vom XXXX 2022 legte die DSB die Beschwerde sowie den Verwaltungsakt dem BVwG zur Entscheidung vor.

7. Während der BF mit Stellungnahme vom XXXX 2023 auf die Stellungnahme der DSB replizierte, gab die mP im Laufe des Verfahrens keine Stellungnahme mehr ab.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

Der BF ist XXXX .

Der BF versandte an die mP ein personalisiertes Schreiben mit dem Betreff: „Holen Sie sich ab sofort Ihre 3. Corona-Schutzimpfung!“. In diesem Schreiben wurde auf die Möglichkeit der dritten Corona-Schutzimpfung hingewiesen. Die mP erhielt dieses Schreiben am XXXX 2021.

Aus dem Kontext des Schreibens, das sich auf die 3. Impfung bezieht, geht hervor, dass die mP bereits zwei Corona-Schutzimpfungen erhalten hat.

Zur Ermittlung der Daten der mP vor Zusendung des personalisierten Informationsschreibens überprüfte der BF - über die XXXX als Auftragsverarbeiterin - im zentralen Impfregister, ob zur mP ein dritter Impfeintrag vorhanden war und ermittelte, da ein solcher Impfeintrag nicht aufschien, in einem nächsten Schritt die Wohnadresse der mP durch Zugriff auf den zentralen Patientenindex. In der Folge übermittelte der BF die Adressdaten der mP in einem „csv-Konfigfile“ an einen Druckdienstleister im Rahmen einer Auftragsdatenverarbeitung. Abseits dieser Datei bestehen keine weiteren Verarbeitungen der personenbezogenen Daten der mP.

Die mP wirkte in keiner Phase an der Verarbeitung ihrer personenbezogenen Daten (Zugriff auf das zentrale Impfregister, Zugriff auf den Patientenindex) mit bzw. erteilte hierfür keine Zustimmung.

2. Beweiswürdigung:

Die Feststellungen ergeben sich aus dem Verwaltungs- und dem Gerichtsakt.

Keine der Verfahrensparteien monierte eine Unrichtigkeit oder Unklarheit betreffend den verfahrensrelevanten Sachverhalt. Dieser ist unstrittig. Vielmehr brachte der BF in seiner Beschwerde vor dem Bundesverwaltungsgericht ausschließlich eine unrichtige rechtliche Beurteilung vor.

3. Rechtliche Beurteilung:

Zu A)

3.1. Rechtsgrundlagen in Auszügen:

§ 1 DSG lautet soweit wesentlich:

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Art. 6 DSGVO lautet:

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,

e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann“.

Art. 9 DSGVO lautet auszugsweise:

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen: […]

g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich, […]

i) die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder […]

§ 4g EpiG lautete (Inkrafttreten: 01.07.2022 Außerkrafttreten: 06.12.2022):

(1) Der für das Gesundheitswesen zuständige Bundesminister ist als datenschutzrechtlich Verantwortlicher (Art. 4 Z 7 DSGVO) ermächtigt, Personen, für die gemäß den jeweils aktuellen Anwendungsempfehlungen des Nationalen Impfgremiums für COVID-19-Impfungen eine Auffrischungsimpfung gegen COVID-19 empfohlen wird, an diese Auffrischungsimpfung zu erinnern. Eine Auffrischungsimpfung ist eine erneute Impfung nach Abschluss der Grundimmunisierung, um eine nachlassende Immunantwort wieder zu erhöhen und den Impfschutz aufrechtzuerhalten.

(2) Zum Zweck der Versendung von Erinnerungsschreiben an Auffrischungsimpfungen gegen COVID-19 hat die ELGA GmbH als Auftragsverarbeiterin (Art. 4 Z 8 DSGVO) des für das Gesundheitswesen zuständigen Bundesministers

1. auf Basis der jeweils aktuellen Anwendungsempfehlungen des Nationalen Impfgremiums für COVID-19-Impfungen aus den im zentralen Impfregister gespeicherten COVID-19-bezogenen Angaben (§ 24c Abs. 2 Z 2 GTelG 2012) jene Personen zu ermitteln, für die eine Auffrischungsimpfung gegen COVID-19 empfohlen wird und zwar unabhängig davon, ob eine Impfung zum Zeitpunkt der Erinnerung aufgrund einer aktuellen Genesung oder einer Kontraindikation nicht empfohlen wird, und

2. den gemäß Z 1 ermittelten Personen ein Erinnerungsschreiben an die empfohlene Auffrischungsimpfung gegen COVID-19 zu übermitteln.

Der für das Gesundheitswesen zuständige Bundesminister hat der ELGA GmbH jeweils die sich aus der jeweiligen Anwendungsempfehlung des Nationalen Impfgremiums ergebenden Anforderungen an die Ermittlung gemäß Z 1 sowie den Zeitpunkt für die Versendung der Erinnerungsschreiben bekannt zu geben und hat zum Zweck der Versendung der Erinnerungsschreiben eine spezifische Zugriffsberechtigung gemäß § 24f Abs. 4 GTelG 2012 auf die im zentralen Impfregister gespeicherten Angaben.

(3) Das Erinnerungsschreiben hat zumindest Folgendes zu enthalten:

1. eine Datenschutzinformation gemäß Art. 14 DSGVO,

2. fachliche Informationen über die empfohlene Auffrischungsimpfung gegen COVID-19,

3. den Hinweis, dass die Information unabhängig davon erfolgt, ob eine Impfung zum Zeitpunkt der Erinnerung aufgrund einer aktuellen Genesung oder einer Kontraindikation nicht empfohlen wird, und eine Aufklärung durch einen Arzt nicht ersetzt wird, sowie

4. die Informationen gemäß Abs. 4 und 5.

(4) Die gemäß § 4b Abs. 8 benannte Stelle hat Anfragen und Beschwerden der betroffenen Personen im Zusammenhang mit dem Erinnerungsschreiben entgegenzunehmen, gegebenenfalls die Art des Fehlers zu erheben sowie für die Behebung des Fehlers zu sorgen. Die betroffenen Personen sind darüber zu informieren.

(5) Für die Zurverfügungstellung von Informationen über die auf Antrag der betroffenen Personen gemäß den Art. 15 bis Art. 22 DSGVO ergriffenen Maßnahmen zu im Zusammenhang mit dem Erinnerungsschreiben stehenden Verarbeitungstätigkeiten steht dem datenschutzrechtlich Verantwortlichen gemäß Art. 23 Abs. 1 lit. e DSGVO eine Frist von drei Monaten zu. Die betroffenen Personen sind über diese Beschränkung des Art. 12 Abs. 3 DSGVO in geeigneter Weise zu informieren.

(6) Der für das Gesundheitswesen zuständige Bundesminister hat geeignete Datensicherheitsmaßnahmen zu ergreifen, insbesondere

1. ist eine Weiterverarbeitung der aus dem zentralen Impfregister erhobenen personenbezogenen Daten zu anderen Zwecken als der gegenständlichen Versendung von Erinnerungsschreiben unzulässig, soweit in diesem und anderen Bundesgesetzen nicht anderes bestimmt ist,

2. sind die Zugriffe auf das zentrale Impfregister zum Zweck der Versendung der Erinnerungsschreiben zu protokollieren.

§ 4 Abs. 3 GTelG lautet:

(3) Der Patientenindex gemäß § 18 kann zur Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) von Personen, deren Gesundheitsdaten oder genetische Daten übermittelt werden sollen, auch außerhalb von ELGA (4. Abschnitt) verwendet werden.

§ 18 GTelG lautet auszugsweise:

(1) Der Dachverband hat im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient:

1. der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen sowie

2. der Lokalisierung von Verweisregistern, in denen sich Verweise auf ELGA-Gesundheitsdaten dieser natürlichen Personen befinden können.

§ 24d GTelG lautet auszugsweise:

(1) Die Verarbeitung (Art. 4 Z 2 DSGVO) von Daten im zentralen Impfregister gemäß § 24c Abs. 2 bis 7 sowie zu den in Abs. 2 genannten Zwecken ist nur zulässig, wenn […]

5. die Bürger/innen, soweit es sich um Zwecke gemäß Abs. 2 Z 1, Z 2, Z 5, Z 6 oder Z 7 handelt, gemäß § 18 Abs. 4 oder durch Abgleich von Daten mit dem oder Abfrage des Stammzahlenregisters gemäß § 2 Z 9 E-GovG eindeutig identifiziert wurden. Für den Abgleich von Daten mit dem Stammzahlenregister gilt § 18 Abs. 4 Z 5 sinngemäß.

(2) Die im Impfregister gespeicherten Daten dürfen personenbezogen ausschließlich für folgende Zwecke verarbeitet werden: […]

5. Krisenmanagement, sowohl im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten gemäß § 1 Epidemiegesetz 1950, BGBl. Nr. 186/1950, als auch im Rahmen der Pharmakovigilanz, […]

§ 24f GTelG lautet auszugsweise:

(2) Soweit der Patientenindex (§ 18) zur Überprüfung der eindeutigen Identität der Bürger/innen (§ 24d Abs. 1 Z 5, 1. Fall) genutzt wird, darf die Überprüfung der eindeutigen Identität in den Fällen gemäß Abs. 4 Z 1 lit. a bis c, Z 2 und Z 4 nicht länger als 28 Tage zurückliegen.

(3) Der Gesundheitsdiensteanbieterindex (§ 19) dient der Überprüfung der eindeutigen Identität von Gesundheitsdiensteanbietern gemäß § 24d Abs. 1 Z 1.

(4) Das Berechtigungssystem (§ 21) dient der Verwaltung der spezifischen Zugriffsberechtigungen und Steuerung der Zugriffe. Eine spezifische Zugriffsberechtigung auf die im zentralen Impfregister gespeicherten Daten haben

5. der für das Gesundheitswesen zuständige Bundesminister für das bundesweite Krisenmanagement gemäß § 24d Abs. 2 Z 5, […]

3.2. Anwendung der Rechtsgrundlagen auf den gegenständlichen Sachverhalt:

Zur Verletzung im Recht auf Geheimhaltung:

3.2.1. Der BF stützt seine Verarbeitungstätigkeit als Verantwortlicher im Zusammenhang mit der Ermittlung der geimpften und ungeimpften Personen wie auch das Versenden des gegenständlichen Impferinnerungsschreiben auf § 24d Abs. 2 Z 5 GTelG (zum Zwecke des Krisenmanagements). Die hierfür notwendige Zugriffsberechtigung auf das zentrale Impfregister sah der BF gemäß § 24f Abs. 4 Z 5 GTelG (Nutzung von Elga Komponenten; Zugriffsberechtigung für den XXXX für das bundesweite Krisenmanagement) gewährleistet. Die Ermittlung der Adressdaten durch die Auftragsverarbeitung wurde auf § 4 Abs. 3 GTelG (Nutzung Patientenindex zur Überprüfung der Identität auch außerhalb von ELGA) gestützt.

Unstrittig ist, dass zum Zeitpunkt der Versendung der in Frage stehenden Impferinnerungsschreiben durch den BF eine eindeutige Rechtsgrundlage, wie sie später für eine begrenzte Zeit mit § 4g Epidemiegesetz 1950, aber auch mit § 750 Abs. 1a und 2 ASVG für den Dachverband der Sozialversicherungsträger geschaffen wurde (siehe BGBl. 197/2021 vom 03.12.2021; Außerkrafttreten am 30.06.2023), nicht bestanden hat.

3.2.2. Mit dem Argument, die Datenverarbeitung iZm den in Rede stehenden Impferinnerungsschreiben des BF im Herbst 2021 könne sich auf die Rechtfertigung bzw. Rechtsgrundlage des Krisenmanagements in § 24d Abs. 2 Z 5 GTelG stützen, kann der BF nicht durchdringen:

Gemäß § 24d Abs. 2 Z 5 GTelG 2012 dürfen die im Impfregister gespeicherten Daten personenbezogen für den Zweck des Krisenmanagements, sowohl im Rahmen des Ausbruchsmanagements in Zusammenhang mit anzeigepflichtigen Krankheiten gemäß § 1 Epidemiegesetz 1950, BGBl. Nr. 186/1950, als auch im Rahmen der Pharmakovigilanz, verarbeitet werden.

Den Gesetzesmaterialien ist dazu zu entnehmen, dass das Krisenmanagement sowohl das Ausbruchsmanagement als auch die Pharmakovigilanz umfasst, wobei im Rahmen des Ausbruchsmanagements der Zugriff auf die im Impfregister gespeicherten Daten [nur] insoweit zulässig ist, als dieser zur Unterstützung der hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz (insbesondere Umgebungsanalysen) erforderlich ist (ErlRV 232 BlgNR XXVII. GP, 33; Unterstreichung nicht im Original).

Im Zeitpunkt der Abfrage des Impfregisters (vor dem XXXX 2021) gab es allerdings im Epidemiegesetz 1950 keine hoheitliche Aufgabe, die eine „Erinnerung an Impfungen“ rechtfertigen könnte, weil die in § 4g Epidemiegesetz 1950 vorgesehene Regelung „Erinnerungen an Auffrischungsimpfungen gegen COVID-19“ erst mit 01.07.2022 (BGBl. I Nr. 89/2022) in Kraft getreten ist. Entgegen der Meinung des BF stellt das gegenständliche Informationsschreiben zur dritten Corona-Schutzimpfung somit keine Maßnahme des Krisenmanagements gemäß § 24d Abs. 2 Z 5 GTelG 2012 dar, weshalb dieser bereits deshalb die verfahrensgegenständliche Datenverarbeitung nicht darauf stützen kann (vgl. dazu auch BVwG 07.02.2023, W245 2263552-1/20E).

3.2.3. Der BF führt in seiner Beschwerde dazu aus, der Wortlaut der Erläuterungen würde nicht verlangen, dass die hoheitliche Aufgabe im Epidemiegesetz determiniert wäre, dass der Begriff des Krisenmanagements selbst ausgelegt werden müsse, und dass die akute epidemische Situation Ende des Herbstes 2021 eine entsprechende Maßnahme - wie das Impferinnerungsschreiben zur 3. Corona-Schutzimpfung – als Krisenmanagement erfordert habe.

Zu diesem Vorbingen ist auf die Ausführungen unter 3.2.2. zu verweisen: der erkennende Senat vertritt die Ansicht, dass sich aus den Erläuterungen zum GTelG ausreichend klar ergibt, dass im Rahmen des Ausbruchsmanagements (als Teil des Krisenmanagements) der Zugriff auf die im Impfregister gespeicherten Daten eben nur insoweit zulässig ist, als dieser zur Unterstützung der hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz erforderlich ist.

Für die Rechtsmeinung des BF, dass eine solche hoheitliche Maßnahme nicht im Epidemiegesetz determiniert werden müsse, besteht in diesem Lichte kein Raum: dafür spricht ua, dass der Gesetzgeber sehr wohl, wenn auch erst später, die entsprechende hoheitliche Maßnahme im Epidemiegesetz determiniert hat (vgl. erneut § 4g Epidemiegesetz 1950), sowie, dass sich die entsprechende Maßnahme für den XXXX aus sonst keinen Rechtsgrundlagen ergibt.

Dass der Gesetzgeber bereits von sich aus eine hoheitliche Maßnahme durch den XXXX im Zusammenhang mit Erinnerungsschreiben für die Covid 19-Impfung in einen engen Berechtigungsrahmen setzen wollte, ergibt sich zB auch daraus, dass die Berechtigung im § 4g Epidemiegesetz schon beim Inkrafttreten bis 30.06.2023, also für ein Jahr, befristet wurde (vgl. § 50 Abs. 31 Epidemiegesetz, BGBl. I Nr. 89/2022).

Im Ergebnis kann sich der BF daher auf den § 24d Abs. 2 Z 5 GTelG als Rechtsgrundlage für die vorgenommene Datenverarbeitung nicht stützen.

3.2.4. Demnach bestand für die gegenständliche Datenverarbeitung der personenbezogenen Daten der mP iZm der personalisierten Versendung eines Impferinnerungsschreibens für die 3. Corona Schutzimpfung keine entsprechende Rechtsgrundlage, weshalb dadurch eine Verletzung des Rechts auf Geheimhaltung der mP durch die Datenverarbeitung iSd § 1 Abs. 1 und 2 DSG vorgenommen wurde. Eine Rechtmäßigkeit der Datenverarbeitung ergibt sich außerdem mangels Rechtsgrundlage auch nicht aus den Art. 6 Abs. 1 lit e iVm Art. 6 Abs. 3 DSGVO sowie Art. 9 Abs. 2 lit. g und i DSGVO.

Zu den Zugriffen auf das Impfregister und den Patientenindex:

3.2.5. Insoweit der BF vorbringt, eine Zugriffsberechtigung auf das zentrale Impfregister auf Basis des § 24f Abs. 4 Z 5 GTelG zu haben, so ist diese Zugriffsberechtigung an Zwecke des Krisenmanagements des § 24d Abs. 2 Z 5 GTelG gebunden: in Hinblick auf das Vorhergesagte, wonach sich der BF jedoch bei der gegenständlichen Datenverwendung nicht auf die Rechtsgrundlage des § 24d Abs. 2 Z 5 GTelG und damit auf Krisenmanagement berufen konnte, konnte auch eine entsprechende Zugriffsberechtigung nicht bestehen.

3.2.6. Nach § 18 Abs. 1 GTelG hat der Dachverband im übertragenen Wirkungsbereich einen Patientenindex einzurichten und zu betreiben. Dieser dient insbesondere der Überprüfung der eindeutigen Identität (§ 2 Z 2 E-GovG) natürlicher Personen im Rahmen von ELGA oder anderen eHealth-Anwendungen (Z 1). In § 18 Abs. 2 GTelG werden die im Patientenindex zu verarbeitenden Daten angeführt, darunter auch die Adressdaten von natürlichen Personen (Z 3). Der Patientenindex wird vorrangig aus anderen E-Government-Registern, wie etwa der Zentralen Partnerverwaltung (ZPV) oder dem von der Stammzahlenregisterbehörde geführten Ergänzungsregister, gebildet (§ 18 Abs. 3 GTelG) (vgl. Stärker in Neumayr/Resch/Wallner, GmundKomm2 § 18 GTelG 2012 [Stand 1.1. 2022, rdb.at] Rz 2-3).

Wie der BF in seiner Stellungnahme vom XXXX 2022 ausführte, wurden die Adressdaten der Personen, denen ein Impferinnerungsschreiben geschickt werden sollte, auf Basis des § 4 Abs. 3 GTelG dem zentralen Patientenindex entnommen.

Da aber bereits nach dem oben Gesagten keine Rechtsgrundlage für die Übermittlung von Gesundheitsdaten im gegenständlichen Fall bestanden hat, kann aus § 4 Abs. 3 GTelG keine Ermächtigung für einen Zugriff auf den Patientenindex zur Adressermittlung abgelesen werden.

4. Zum Entfall einer mündlichen Verhandlung:

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.

Es wurde zwar ein Antrag (in eventu) auf Durchführung einer mündlichen Verhandlung gestellt, jedoch war im gegenständlichen Fall der Sachverhalt eindeutig aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.

Das Bundesverwaltungsgericht hat vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).

Zu B) Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig, weil es an Rechtsprechung des Verwaltungsgerichtshofs dazu fehlt, ob die „hoheitlichen Aufgaben im Zusammenhang mit dem Epidemiegesetz“, die durch den Zugriff auf die im Impfregister gespeicherten Daten unterstützt werden können, im Epidemiegesetz selbst determiniert sein müssen (wie zB durch § 4g Epidemiegesetz 1950), oder nicht (vgl. oben Punkt 3.2.2.).